В компанию пришло письмо: клиент просит рассказать, какие данные о нем хранятся, и удалить часть из них. Ответственный за обработку персональных данных прочитал письмо, ответил клиенту по почте и забыл о нем через неделю. Спустя четыре месяца пришел запрос из Роскомнадзора по жалобе того же клиента: он утверждает, что ответа не получил вовсе. Переписка потерялась в личном почтовом ящике сотрудника, который к тому моменту уже уволился. Доказать, что ответ был отправлен и уложился в срок, компании нечем. Это типовая ситуация, из-за которой заводят журнал учета обращений субъектов персональных данных - не потому что так написано в законе буквально, а потому что без него нечем закрыть простой вопрос проверяющего или суда: когда пришло обращение и что с ним сделали.
Ниже - зачем нужен такой журнал, какие в нем графы, как соотнести его со сроками из закона и с чем его нужно связать внутри компании, чтобы он не превратился в формальность на бумаге.
Откуда берется обязанность вести учет обращений
Прямого требования завести журнал в тексте закона нет. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» не содержит слов «журнал учета обращений». Но в нем есть статья 14, которая дает субъекту персональных данных право обращаться к оператору с запросами о своих данных, и статья 20, которая обязывает оператора на такой запрос ответить в определенный срок. А дальше вступает в силу общий принцип: если компанию проверяют и спрашивают, соблюдался ли срок ответа на конкретное обращение, ей нужен документ, которым это подтверждается. Электронное письмо в личном ящике сотрудника таким документом быть перестает в тот момент, когда сотрудник уходит из компании или чистит почту.
Журнал в этой логике - не отдельная обязанность, а способ выполнить уже существующую: доказать соблюдение сроков ответа субъектам персональных данных. Так же, как книга учета проверок в других сферах не следует напрямую из закона о самой проверке, но без нее невозможно подтвердить дату визита. Роскомнадзор при проверке чаще всего задает именно такой вопрос: сколько обращений поступило за период и как быстро на них ответили. Журнал - первый документ, который в такой ситуации кладут на стол проверяющему.
Что считается обращением субъекта персональных данных
Первая ошибка - фиксировать в журнале только жалобы и требования об удалении. На практике под обращение подпадает куда более широкий круг запросов:
- запрос о подтверждении факта обработки данных и о целях этой обработки;
- запрос копии обрабатываемых данных или сведений об источнике их получения;
- требование уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, недостоверны или собраны незаконно;
- отзыв ранее данного согласия на обработку;
- требование прекратить обработку данных для целей маркетинга;
- жалоба на действия оператора, направленная напрямую компании, а не в Роскомнадзор.
На практике формулировки редко звучат как в законе. Пациент частной клиники просит объяснить, кто из персонала открывал его медицинскую карту за последний год - это запрос о подтверждении факта обработки и о получателях данных. Родитель ученика школы требует удалить фотографию ребенка с сайта, потому что отдельного согласия на публикацию никто не подписывал, - это требование прекратить обработку и уничтожить данные. Самозанятый мастер по ремонту техники получает сообщение от бывшего заказчика с просьбой стереть его телефон и адрес из базы для рассылок - формально это отзыв согласия. Три разных повода, три разных отрасли, и всем троим компания обязана ответить в один и тот же десятидневный срок.
Каждый из этих случаев подпадает под права субъекта персональных данных, и по каждому у оператора есть обязанность отреагировать в срок. Устный звонок в поддержку с просьбой убрать номер телефона из базы - тоже обращение, просто зафиксировать его сложнее, чем письмо. Практический совет: если у компании есть форма обратной связи или почта поддержки, куда клиенты пишут разные вопросы, стоит завести правило - любое сообщение, где упоминаются персональные данные заявителя, дублируется ответственному за обработку и попадает в журнал, даже если по существу это простая просьба.
Срок ответа: 10 рабочих дней и когда его можно продлить
По общему правилу оператор обязан дать содержательный ответ на запрос субъекта персональных данных в течение 10 рабочих дней с момента получения запроса. Если за этот срок уложиться не получается - например, требуется поднять архивные данные или уточнить у нескольких подразделений, что именно обрабатывается по конкретному человеку, - срок можно продлить, но не более чем на 5 рабочих дней, и об этом продлении нужно письменно уведомить самого заявителя с указанием причины.
Здесь и кроется главная практическая ловушка. Дата получения запроса и дата отправки ответа - это ровно те две цифры, из которых состоит соблюдение или нарушение срока. Если запрос пришел на бумаге по почте, датой получения считается дата регистрации входящей корреспонденции, а не дата написания письма заявителем. Если запрос пришел на электронную почту в пятницу вечером, отсчет рабочих дней начинается со следующего рабочего дня. Мелочи вроде этой на глаз не считаются, а при проверке РКН считает именно так, и именно журнал - место, где эти даты фиксируются сразу, а не восстанавливаются по памяти через полгода.
Отдельно стоит различать журнал обращений граждан и переписку с самим Роскомнадзором: если запрос приходит от регулятора, а не от субъекта персональных данных, действует другой порядок и другие сроки, и смешивать эти два документооборота в одной таблице не стоит.
Что будет, если ответ не дать вовремя
Молчание в ответ на обращение - частый повод для жалобы в Роскомнадзор, и именно жалоба, а не плановая проверка, чаще всего запускает разбирательство у небольших компаний. Гражданин вправе пожаловаться регулятору, если считает, что оператор нарушил порядок обработки его данных или не ответил на законное обращение. Дальше Роскомнадзор запрашивает у компании объяснения и документы, и здесь снова всплывает журнал: без него нечем подтвердить ни факт ответа, ни его срок.
Отказ отвечать по существу - не то же самое, что нарушение срока. Оператор вправе отказать в удалении данных, если, например, их дальнейшая обработка требуется по другому закону - скажем, кадровые документы хранятся определенный срок независимо от желания бывшего сотрудника их удалить. Но отказ должен быть мотивированным и дан в тот же десятидневный срок, а не оставлен без ответа. Немотивированное молчание и мотивированный отказ - для проверяющего это две разные ситуации, и обе должны быть отражены в журнале с одинаковой аккуратностью.
Отдельно стоит иметь в виду репутационную сторону: жалоба недовольного клиента в Роскомнадзор нередко сопровождается постом в соцсетях или отзывом на маркетплейсе. Быстрый и документированный ответ снимает обе проблемы сразу - и юридическую, и репутационную.
Какие графы должны быть в журнале
Форма журнала не установлена никаким приказом, поэтому компания вправе разработать ее самостоятельно - бумажную или электронную, в виде таблицы Excel, отдельного файла в 1С или обычной тетради с пронумерованными страницами. Важно не оформление, а состав сведений, который позволяет однозначно ответить на три вопроса: когда пришло обращение, что было сделано и уложилась ли компания в срок.
| № п/п | Графа | Что туда вписывают |
|---|---|---|
| 1 | Дата и способ поступления | Число, месяц, год, канал: почта, email, форма на сайте, устно с фиксацией по телефону |
| 2 | Данные заявителя | ФИО, контакт для ответа (адрес или email указанный в самом обращении) |
| 3 | Суть обращения | Кратко: запрос сведений, требование удалить данные, отзыв согласия и т.д. |
| 4 | Срок ответа | Дата, до которой нужно ответить - +10 рабочих дней от даты поступления |
| 5 | Продление срока | Отметка, если срок продлен на 5 дней, дата уведомления заявителя о продлении |
| 6 | Ответ | Дата фактического ответа, краткое содержание (отказ, исполнено частично, исполнено полностью) |
| 7 | Исполнитель | ФИО сотрудника, который готовил и отправлял ответ |
| 8 | Примечание | Ссылка на входящий и исходящий номер, если в компании ведется общий документооборот |
Электронная форма журнала удобнее бумажной по одной простой причине: в таблице легко отфильтровать строки с истекающим сроком и не пропустить дедлайн. При большом потоке обращений - например, у компании с розничными точками или у оператора call-центра - имеет смысл настроить автоматическое напоминание за 2-3 дня до истечения десятидневного срока.
Кто ведет журнал и как это закрепить
Журнал сам по себе бесполезен, если никто не отвечает за его заполнение. На практике ведение журнала закрепляют за тем же сотрудником, который назначен ответственным за организацию обработки персональных данных приказом руководителя. Это тот же человек, чье имя должно фигурировать в графе 7 таблицы выше в большинстве строк, если поток обращений в компании небольшой.
Порядок назначения такого сотрудника и его полномочия разобраны отдельно - см. статью про ответственного за организацию обработки персональных данных. Если в компании такого приказа еще нет, ведение журнала обращений - неплохой повод его наконец издать: без назначенного ответственного непонятно, кто вообще должен принимать решение по обращению, а не просто регистрировать факт его поступления.
В компаниях с несколькими подразделениями стоит прописать маршрут: куда именно попадает обращение, если оно пришло не напрямую ответственному, а, скажем, в отдел продаж или на общую почту info@. Простое правило - любое письмо с упоминанием персональных данных пересылается ответственному в течение одного рабочего дня - снимает большую часть риска пропустить срок из-за того, что обращение просто зависло в чужом почтовом ящике.
Если ответственный сотрудник уходит в отпуск или на больничный, десятидневный срок не останавливается. Стоит заранее назначить временно исполняющего обязанности - например, приказом или пунктом в должностной инструкции - и убедиться, что у него есть доступ к журналу и к почте, куда приходят обращения. Иначе десятидневный срок легко пропустить не из-за злого умысла, а просто потому что ответственный человек оказался недоступен в нужный момент.
Бумажный журнал или электронный: что выбрать
Закон не отдает предпочтения ни одной из форм. На практике выбор зависит от объема обращений и от того, насколько компания готова показывать журнал при проверке.
Бумажный журнал подходит небольшим компаниям с редкими обращениями - несколько случаев в год. Плюс - его сложнее незаметно отредактировать задним числом, что иногда важно как раз при проверке. Минус - неудобно искать конкретную запись среди десятков страниц и невозможно настроить напоминание об истекающем сроке.
Электронный журнал - таблица в общем доступе для ответственных сотрудников - удобнее для компаний с постоянным потоком обращений: интернет-магазины, службы поддержки, HR-отделы крупных компаний. Здесь стоит предусмотреть версионность или хотя бы историю изменений, чтобы при необходимости показать проверяющему, что запись не редактировалась задним числом после того, как срок ответа истек.
Срок хранения самого журнала закон отдельно не устанавливает. Разумный ориентир - хранить записи не менее нескольких лет и не уничтожать журнал, пока не истек общий срок исковой давности по возможным претензиям заявителей. Проще всего синхронизировать этот срок со сроком хранения остальных документов по персональным данным, которые уже приняты в компании, чтобы не вести отдельный график уничтожения ради одного журнала.
Отдельный практический момент - доступ к журналу должен быть ограничен теми, кому он действительно нужен по работе, потому что сам журнал содержит персональные данные заявителей: их имена и контакты. Общие принципы такого ограничения разобраны в статье про разграничение доступа к персональным данным - журнал обращений имеет смысл включить в тот же периметр, что и остальные документы с персональными данными сотрудников и клиентов.
Связь журнала с другими документами компании
Журнал обращений не существует отдельно от остального документооборота по персональным данным. Он опирается на несколько других документов и должен быть с ними согласован.
Во-первых, сама процедура обработки обращения - кто, что и в какой срок делает - должна быть описана во внутренней инструкции для сотрудников. Если такого документа еще нет, порядок его составления разобран в статье инструкция по обработке персональных данных для сотрудников. Инструкция и журнал работают в паре: инструкция описывает правило, журнал фиксирует его исполнение по каждому конкретному случаю.
Во-вторых, если субъект в обращении требует удалить или уничтожить свои данные, факт исполнения такого требования должен быть подтвержден отдельным актом об уничтожении данных, а не только строкой в журнале. Строка в журнале говорит, что запрос был и когда на него ответили; акт об уничтожении - что данные физически удалены из систем компании и с носителей.
В-третьих, при проведении профилактического визита или плановой проверки журнал обращений - один из первых документов, который запрашивает инспектор, наравне с приказом о назначении ответственного и политикой обработки персональных данных. Если компания готовится к такой проверке заранее, стоит свериться со списком типичных вопросов - см. статью профилактический визит Роскомнадзора - и убедиться, что журнал заполнен без пропусков хотя бы за последний год.
Типичные ошибки при ведении журнала
На практике при подготовке к проверке или при разборе жалобы всплывают одни и те же проблемы.
Журнал заводят задним числом. Компания получает жалобу или предписание, спешно вспоминает все обращения за последний год и переносит их в новый журнал одной датой. Это видно по почерку заполнения: все записи одинаковым цветом ручки, без единой правки или помарки. Если есть возможность, лучше честно признать отсутствие учета за прошлый период и начать вести журнал с сегодняшнего дня, чем изображать многолетнюю дисциплину задним числом.
В журнал попадают не все обращения. Чаще всего теряются устные обращения по телефону и сообщения в мессенджерах или соцсетях компании. Если у бизнеса есть паблик во ВКонтакте или бот в Telegram, через которые тоже приходят просьбы удалить номер телефона из рассылки, эти каналы нужно включить в тот же порядок регистрации, что и почту.
Смешивают обращения субъектов с обращениями регулятора. Запрос от гражданина и запрос от Роскомнадзора - разные документы с разными сроками и разными адресатами ответа, их не стоит вести в одной таблице без явного разделения типа обращения.
Никто не проверяет соблюдение сроков. Журнал ведется формально: строки заполняются, но никто не смотрит, есть ли просроченные ответы. Раз в месяц стоит выделить время и пройтись по строкам с незакрытым сроком ответа - это дешевле, чем объяснять просрочку проверяющему.
Журнал не согласован с текучкой кадров. Ответственный за ведение журнала уволился, новый сотрудник о журнале не знает и заводит собственную табличку с нуля, а старые записи теряются в архиве бывшего сотрудника. Журнал должен передаваться по акту вместе с остальными делами при смене ответственного, а не оставаться личным файлом на рабочем столе конкретного человека.
Массовые обращения регистрируют одной строкой. Во время рекламной рассылки несколько десятков человек одновременно просят отписаться и удалить данные, а в журнал попадает одна общая запись без имен и дат по каждому обращению. При проверке такая запись не подтверждает, что каждому конкретному человеку ответили в срок - фиксировать нужно каждое обращение отдельной строкой, даже если формулировка и способ решения у всех одинаковые.
Образец заполнения строки журнала
Чтобы не гадать, как выглядит заполненная запись, вот пример по вымышленному, но типичному случаю: интернет-магазин детской одежды получил запрос от бывшего покупателя.
| Графа | Значение |
|---|---|
| Дата поступления | 03.11.2026, email на support@ |
| Заявитель | Иванова А.С., ответ просила на этот же email |
| Суть обращения | Отзыв согласия на обработку данных и просьба удалить из базы рассылки |
| Срок ответа | 17.11.2026 (10 рабочих дней) |
| Продление | Не потребовалось |
| Ответ | 10.11.2026, данные удалены из базы email-рассылки, подтверждение направлено заявителю |
| Исполнитель | Петров Д.В., менеджер по работе с клиентами |
| Примечание | Копия ответа сохранена в папке «Обращения-2026» |
Обратите внимание: в примере ответ дан раньше крайнего срока, а не день в день. Это разумная практика - не тянуть до последнего рабочего дня, чтобы был запас на случай, если понадобится что-то уточнить или переслать письмо повторно из-за технического сбоя.
Что делать, если обращений пока не было
Небольшие компании иногда решают, что журнал заводить рано - обращений еще не поступало. Это ошибочная логика: журнал заводится не по факту первого обращения, а заранее, вместе с остальными документами по защите персональных данных, чтобы к моменту первого реального запроса процедура уже была отлажена, а не придумывалась на ходу под давлением десятидневного срока. Пустой журнал с готовой формой граф - нормальное явление, и его наличие само по себе показывает проверяющему, что в компании выстроен процесс, а не только формально изданы бумаги.
Что делать прямо сейчас: короткий порядок действий
- Определить форму журнала - бумажную книгу с пронумерованными страницами или электронную таблицу с ограниченным доступом.
- Утвердить состав граф: дата и способ поступления, данные заявителя, суть обращения, срок ответа, отметка о продлении, дата и содержание ответа, исполнитель, примечание.
- Назначить ответственного за ведение журнала - как правило, это тот же сотрудник, который отвечает за организацию обработки персональных данных в целом.
- Прописать маршрут поступления обращений из всех каналов компании: почта, форма на сайте, мессенджеры, устные обращения по телефону.
- Завести правило регулярной сверки: раз в месяц проверять, нет ли просроченных ответов по открытым строкам журнала.
- Хранить журнал вместе с остальными документами по обработке персональных данных и передавать по акту при смене ответственного сотрудника.
Журнал учета обращений - недорогой в ведении документ, но именно он снимает большую часть риска при проверке: не факт нарушения прав субъекта, а факт отсутствия доказательств того, что права были соблюдены. Если в компании нет ни этого журнала, ни остальных базовых документов по 152-ФЗ - политики обработки, приказа об ответственном, инструкции для сотрудников - разумнее собрать пакет целиком, чем закрывать пробелы по одному после первой жалобы. Оценить, каких документов не хватает именно вашей компании, можно на сайте 152fzpro.ru.
Частые вопросы
Обязательно ли по закону вести журнал учета обращений субъектов персональных данных?
Прямого требования завести именно журнал в тексте 152-ФЗ нет. Но статья 20 закона обязывает оператора отвечать на обращения в установленный срок, и при проверке или жалобе нужен документ, которым это подтверждается. Журнал - самый простой способ доказать, что срок был соблюден, а не отдельная обязанность сама по себе.
Сколько времени есть на ответ на обращение о персональных данных?
Базовый срок - 10 рабочих дней с момента получения запроса. Если уложиться не получается, например нужно поднять архивные данные, срок можно продлить, но не более чем на 5 рабочих дней, и об этом продлении нужно письменно уведомить самого заявителя с указанием причины.
Что считается обращением субъекта персональных данных, кроме жалобы?
Обращением считается запрос сведений о факте и целях обработки данных, запрос копии данных, требование их уточнить, заблокировать или удалить, отзыв согласия и требование прекратить обработку для маркетинга. Формулировки на практике редко звучат как в законе, но компания обязана ответить в тот же десятидневный срок.
Какую форму должен иметь журнал учета обращений - бумажную или электронную?
Форма журнала не установлена ни одним приказом, компания вправе выбрать любую - бумажную книгу с пронумерованными страницами или электронную таблицу. Важен не формат, а состав граф - дата поступления, суть обращения, срок ответа, дата фактического ответа и исполнитель. Электронный вариант удобнее для контроля истекающих сроков.
